梭子鱼Web应用防火墙攻击规则库更新技术预览
分类:西方体育投注 热度:

  --跨站脚本(XSS)攻击可能会通过如下方式出现:用户输入的数据包含了恶意代码,而服务器没有将这些输入进行安全过滤便直接返回给用户浏览器,恶意代码因此被浏览器执行,攻击者从而可能控制浏览器DOM。这些包含恶意代码的输入可能利用以下几种形式实现:scripttags,DataURIreferences,onEventreferences,iframes等。梭子鱼Web应用防火墙可以帮助阻断跨站脚本(XSS)攻击。

  梭子鱼Web应用防火墙跨站脚本(XSS)规则集把跨站脚本(XSS)签名划分为不同类别,每个类别下包含所有可能的违规漏洞。其中一个类别针对基于事件属性的跨站脚本(XSS)攻击,涵盖onmouseover、oninput、onformchange等事件类型,这些事件类型可以在OWASP上找到完整的事件处理程序列表。

  然而不同浏览器对于服务器响应内的JavaScript脚本的识别可能有较大的差异。这也让攻击者因此采取许多模糊化的策略,例如在事件处理程序嵌入一些字符,比如嵌入回车键、空字符、换行符、编码过的字符、多余的括号、注释标记等。这些嵌入的字符可以分隔输入数据,让浏览器无法正确的识别脚本代码,以实现绕开安全过滤器的行拦截,服务器给浏览器的响应将仍然包含这些脚本代码,最终将被浏览器执行。bet356体育投注网

  尽管不同平台或版本的浏览器可能对脚本的识别有些差异,但是梭子鱼对这些浏览器进行了适配,可以进行防护,以应对模糊攻击策略。西方体育投注,体育在线投注网站用户可以在梭子鱼WEB应用防火墙的WEB管理页面的高级设置-默认数据类型页面查看到部分梭子鱼定义的特征类型,数据类型正则表达式里\xNN代表十六进制值表示的ASCII码字符,例如:退格(08)、回车(0D)等,可以点击详情查看防护的事件处理程序的名称。

  然而对于太老的浏览器或者引入新的事件处理程序(比如在HTML5中),可能会出现无法过滤的情况,但是这是极少。梭子鱼实验室通过监测威胁状况以及来自安全研究领域的贡献,不断更新数据类型。当新的数据类型进行更新时,各种型号之间对其采取的防护模式略有不同。梭子鱼Web应用防火墙460及以下的型号采取主动模式。而660及以上的型号采取被动模式,bet356体育投注网设备的管理人员在预览了更新的数据类型之后可根据其需求将其调整为主动模式。体育在线投注网站bet356体育投注网

  对于这些数据类型的另一个考虑因素就是安全性与可用性之间的权衡。一个非常严格的数据类型策略可能会误拦一些正常的输入,比如我们如果定义阻断所有包含on*的事件的话,那么一些输入,比如one=xyz,可能被误判为跨站脚本(XSS)攻击。一种数据类型表达式也可用来阻止所有on后面跟随3-16个字符的输入(和其他的反规避构造一起),当然,这是一个更加严格的模式,可能会在案例中导致误判,比如某个输入中包含onerous=。以上讨论是基于黑名单参数输入防护策略。在使用白名单时,可以选择手动,或者通过自动分析器,bet356体育投注网,这种错误根本就不会出现。目前最理想的状况就是修复代码。然而,如果不提供源代码,或者缺乏修复代码的专业知识和资源,修复代码就不可行。梭子鱼Web应用防火墙规则库和其它高级功能提供了一个针对这种应用层攻击的非常强大的修复机制,无需修改任何源代码。

上一篇:188bet体育投注经济出众 爱普生630K针式打印机烟台特价 下一篇:西方体育投注南沙试点微电网:遇故障停电无缝切换微电网保证不断
猜你喜欢
热门排行
精彩图文
  • 竞彩爆发 彩民利大
    竞彩爆发 彩民利大
    中国足彩竞彩游戏将在9月开始实行两项重大改革。北京青年报记者昨日从国家体彩中心获悉,新玩法将返奖率由69%提高4个百分点,使其达到73%,这是中国体育彩票返奖率首次突破70%, 188bet体育投注 ,此举将大大刺激广
  • 天鹅湖经典但没新意?于小雨张昊:滑出自己的故事体育在线
    天鹅湖经典但没新意?于小雨张昊:滑出自己的故事体育在线
    就在阿里巴巴宣布消息不久,高德地图也在官方微博回应,高德公司董事会已确认收到阿里巴巴集团全资收购高德公司的非约束性收购建议,并计划成立一个独立委员会,对该提议进行评估。 上周末,有用户反映,微信朋友圈
  • 西方体育投注51单片机汉字液晶子程序 液晶屏分为4行12列汉字
    西方体育投注51单片机汉字液晶子程序 液晶屏分为4行12列汉字
    /*名称:51单片机实现LED流水灯(数组方式和位运算方式)说明:今天又重新开始系统的学习51了,LED就算个开端吧。要注意两点:1、sfr和sbit是C语言扩展出来的关键字。其中sfr用于对特殊功能寄存器进行声明,sbit用于对某
  • 水泵故障切换的电路图专
    水泵故障切换的电路图专
    盾构状态监测与故障诊断技术1983年由原国家经贸委发布了《国营工业交通设备管理试行条例》;1987,... MPa,本工程生活给水系统竖向不分区,西方体育投注均由生活给水泵房加压后供水,体育在线投注网站生活给水泵房设
  • 河北电力公司完成95598故障报修直派市(县)模式切体育在线投注
    河北电力公司完成95598故障报修直派市(县)模式切体育在线投注
    12月26日5时30分,国网河北省电力公司顺利完成95598故障报修直派市(县)的模式切换工作,标志着95598故障报修工单正式从国网客户服务中心直接下派各市(县)公司,188bet体育投注使该公司优质服务工作步入新阶段。